Kurumsal E-posta Güvenliği ve Phishing Saldırılarından Korunma

Bir işletmeye yapılan saldırıların çok büyük kısmı gösterişli bir sistem hackiyle değil, gelen kutusundaki tek bir mesajla başlar. E-posta hâlâ saldırganların en sevdiği kapı: ucuz, ölçeklenebilir ve doğrudan insana hitap ediyor. En güçlü güvenlik duvarınız bile, çalışanınızın sahte bir faturaya tıklamasını engelleyemez. Bu yüzden e-posta güvenliği hem teknik hem de insan tarafında ele alınması gereken bir konu.

Bu yazıda phishing'in nasıl çalıştığını, en sık karşılaşılan türlerini, teknik olarak alan adınızı nasıl koruyacağınızı ve ekibinizi nasıl dirençli hale getireceğinizi somut adımlarla anlatıyoruz.

Phishing Aslında Nedir

Oltalama (phishing), kurbanı güvenilir bir kaynaktan geliyormuş gibi görünen bir mesajla kandırıp bir bağlantıya tıklatma, bir dosyayı açtırma ya da bilgi (parola, ödeme bilgisi) verdirme yöntemidir. İşin ustalığı teknik değil psikolojiktir: aciliyet, otorite ve merak duygularını kullanır. "Hesabınız kapatılacak", "genel müdürden acil talep", "kargonuz teslim edilemedi" kalıpları bu yüzden hiç eskimez.

Sık karşılaşılan türler

• Genel phishing: Herkese gönderilen, banka ya da kargo taklidi toplu e-postalar.
• Hedefli oltalama (spear phishing): Belirli bir kişiye, onun hakkında toplanmış bilgiyle özel hazırlanmış mesaj. Çok daha inandırıcıdır.
• Yönetici dolandırıcılığı (BEC): Bir yöneticinin ya da tedarikçinin kimliğine bürünüp havale/ödeme talep etme. İşletmelere en pahalıya patlayan türdür.
• Ele geçirilmiş hesaptan saldırı: Gerçek bir iş ortağının hesabı ele geçirilir ve saldırı onun adından, gerçek yazışma zincirinin içinden gelir; ayırt etmek en zorudur.

Projelerimizde en büyük mali kayıplar virüslerden değil, "patronun e-postası" sanılıp yapılan sahte havalelerden çıkıyor. Bu saldırıda kötü amaçlı yazılım bile yok; sadece iyi kurgulanmış bir yalan var.

Bir E-postadan Nasıl Şüphelenilir

Çalışanlara öğretilmesi gereken birkaç refleks, saldırıların çoğunu durdurur:

1. Gönderen adresini gerçekten okuyun. Görünen isim "Muhasebe" olabilir ama arkadaki adres tanıdık olmayan bir alan adı olabilir. Benzer görünen alan adlarına (harflerin yeri değiştirilmiş) dikkat edin.
2. Bağlantının üzerine tıklamadan gelin. Fare imlecini bağlantı üzerinde bekletince gerçek hedef adres görünür; metinde yazan ile gidilen yer farklıysa alarm zilidir.
3. Aciliyet ve tehdit tonuna dikkat edin. "Hemen", "bugün içinde", "aksi halde" ifadeleri düşünmeden hareket ettirmek için konur.
4. Beklenmedik ekleri açmayın. Özellikle makro içeren ofis dosyaları ve sıkıştırılmış eklere şüpheyle yaklaşın.
5. Para ve bilgi taleplerini ikinci kanaldan doğrulayın. Ödeme talimatı değişikliği geldiyse, e-postaya cevap yazarak değil, bilinen bir numaradan telefonla teyit edin.

Teknik Katman: Alan Adınızı Koruyun

İnsan farkındalığı şart ama tek başına yeterli değil. Alan adınızın (@sirketiniz.com) başkaları tarafından taklit edilmesini zorlaştıran üç temel kayıt var ve bunları yapılandırmak, adınızın dolandırıcılıkta kullanılmasını ciddi biçimde azaltır:

SPF, DKIM ve DMARC

• SPF: Sizin adınıza hangi sunucuların e-posta gönderebileceğini tanımlar. Böylece yetkisiz bir sunucudan gelen "sizin gibi görünen" mesajlar tespit edilebilir.
• DKIM: Giden e-postalara dijital bir imza ekler; mesajın yolda değiştirilmediğini ve gerçekten sizden geldiğini doğrular.
• DMARC: SPF ve DKIM'i birbirine bağlar ve doğrulamayı geçemeyen mesajlara ne yapılacağını (karantina ya da ret) söyler. Ayrıca size taklit denemeleri hakkında rapor gönderir.

Bu üçü doğru kurulduğunda, birinin sizin alan adınızı kullanarak müşterilerinize sahte e-posta göndermesi çok zorlaşır. Yaygın bir hata, SPF ve DKIM'i kurup DMARC'ı "sadece izle" modunda unutmaktır; koruma asıl DMARC'ı uygulama moduna aldığınızda başlar. Bu geçişi aceleye getirmeden, raporları izleyerek yapmak gerekir ki meşru e-postalarınız engellenmesin.

QR Kodlu ve Bağlantısız Yeni Oltalama Türleri

Saldırganlar filtreleri aşmak için sürekli biçim değiştiriyor. Son dönemde yaygınlaşan bir taktik, kötü niyetli adresi metin bağlantısı yerine bir QR kod (görsel) içine gizlemek. Otomatik tarayıcılar görseldeki adresi çoğu zaman okuyamadığı için mesaj gelen kutusuna düşer, kullanıcı da telefonuyla kodu okutunca doğrudan sahte siteye gider. "Kurumsal e-posta doğrulaması" ya da "paket teslimatı" kılığındaki bu QR tuzaklarına karşı çalışanları uyarmak gerekiyor: beklenmedik bir e-postadaki QR kodu, tıpkı şüpheli bir bağlantı gibi ele alınmalı.

Bir başka artan yöntem, hiç ek ya da bağlantı içermeyen, yalnızca "sizi aramamı ister misiniz, şu numarayı arayın" diyen metin tabanlı mesajlar. Amaç, kurbanı bir çağrı merkezi gibi görünen dolandırıcılara yönlendirip telefon üzerinden bilgi ya da ödeme koparmak. Bağlantı olmadığı için teknik filtreler bunları zor yakalar; burada tek gerçek savunma, çalışanın "resmi bir kurum beni e-postayla numara arattırmaz" refleksidir.

MFA: E-posta Ele Geçirmesine Karşı En İyi Sigorta

Bir parola er ya da geç sızabilir. Bu yüzden e-posta hesaplarında çok faktörlü kimlik doğrulama neredeyse pazarlık konusu olmamalı. Parolası çalınmış bir hesaba bile, ikinci faktör olmadan girilemez. Bir çalışanın kurumsal e-postasının ele geçirilmesi, sadece o kişinin değil, tüm yazışma zincirindeki iş ortaklarının da hedef olması demektir; bu yüzden buradaki koruma katlanarak değer kazanır.

Çalışan Farkındalığı: Bir Kerelik Değil, Sürekli

Yılda bir yapılan bir sunum, birkaç hafta sonra unutulur. Farkındalığı canlı tutmanın yolu, kısa ve düzenli temastan geçer. İşe yarayan birkaç yaklaşım:

• Gerçek örneklerle kısa aylık hatırlatmalar yapın: "Bu ay şirketimize gelen sahte e-posta şuydu, şuradan anlamalıydık."
• Kontrollü phishing simülasyonları düzenleyin; ama amacı çalışanı cezalandırmak değil, öğretmek olarak konumlandırın. Utandıran bir yaklaşım, insanların hatalarını gizlemesine yol açar.
• Şüpheli bir e-postayı bildirmeyi kolay ve teşvik edilen bir davranış haline getirin. "Tıkladım galiba" diyebilen bir çalışan, sessiz kalan bir çalışandan çok daha değerlidir; erken haber, olayın büyümeden kapatılmasını sağlar.

Filtreleme ve Ekleri Güvende Tutmak

İnsan son savunma hattıdır; ama iyi bir e-posta filtresi, çoğu tehlikeli mesajın çalışana hiç ulaşmamasını sağlar. Modern e-posta güvenlik çözümleri, gelen bağlantıları tıklandığı anda tekrar kontrol eden, ekleri açmadan önce güvenli bir ortamda tarayan ve bilinen kötü göndericileri engelleyen katmanlar sunar. Bu tür bir filtre, farkındalık eğitimini gereksiz kılmaz ama üzerine düşen yükü ciddi biçimde azaltır.

Eklere karşı ayrıca temkinli bir politika kurmak faydalı. Çalışanların çalıştırılabilir dosyaları ya da makro içeren belgeleri e-postayla almasına gerek çoğu zaman yoktur; bu tür ekleri kurumsal düzeyde kısıtlamak, en yaygın zararlı yazılım bulaşma yollarından birini kapatır. Dosya paylaşımını, denetlenen bir bulut platformu üzerinden yapmaya yönlendirmek hem daha güvenli hem daha izlenebilirdir.

Ele Geçirilmiş Hesabı Nasıl Fark Edersiniz

Bazen saldırı, sizin hesabınızın başkalarına saldırmak için kullanılmasıyla ortaya çıkar. Birkaç işaret erken uyarı verir: giden kutusunda sizin göndermediğiniz mesajların olması, tanımadığınız posta yönlendirme (forwarding) kurallarının eklenmiş olması, iş ortaklarının "sizden gelen tuhaf bir e-posta" hakkında sizi araması ya da alışılmadık konumlardan giriş bildirimleri. Bu yüzden posta kutusu kurallarını düzenli kontrol etmek önemlidir; saldırganların sık kullandığı taktiklerden biri, fark edilmemek için gelen belirli e-postaları sessizce başka bir klasöre ya da dışarı yönlendiren bir kural eklemektir.

Tıklandıysa Ne Yapmalı

Hazırlıklı olmak, kaçınılmazı kabullenmek değil; kaybı sınırlamaktır. Bir çalışan şüpheli bir bağlantıya tıklayıp bilgi girdiyse, hız her şeydir: ilgili hesabın parolasını hemen değiştirin, oturumları kapatın, MFA'yı kontrol edin, BT'yi bilgilendirin ve para transferi söz konusuysa bankayla derhal iletişime geçin. Bu adımları önceden yazılı bir kontrol listesi haline getirmek, panik anında dakikalar kazandırır.

Sonuç

E-posta güvenliği, teknik yapılandırma ile insan davranışının kesiştiği bir alan. Alan adınızı SPF/DKIM/DMARC ile korumak, tüm hesaplara MFA koymak ve ekibinizi sürekli farkındalıkla dirençli tutmak; bu üçü birlikte, saldırıların ezici çoğunluğunu daha gelen kutusuna varmadan ya da varsa bile zarar vermeden durdurur.

Bir noktayı hatırlatmakta fayda var: e-posta saldırıları neredeyse hiçbir zaman tek bir önlemi aşamayacak kadar zayıf değildir, ama neredeyse her zaman katmanlı bir savunmayı aşamayacak kadar da güçlü değildir. Yani mesele hiçbir mesajın asla içeri girmemesini sağlamak değil; içeri giren bir tuzağın tıklansa bile felakete dönüşmemesi için önceden birden çok bariyer kurmaktır. Bu bariyerlerin çoğu, düşük maliyetli ya da ücretsizdir; asıl yatırım, kurulum ve alışkanlık disiplinidir.

Alan adınızın e-posta korumasını (SPF/DKIM/DMARC) doğru kurmak, mevcut yapılandırmanızı denetlemek ya da ekibinize yönelik bir farkındalık programı planlamak isterseniz ücretsiz bir değerlendirme talebi oluşturabilirsiniz. Mevcut durumunuza bakıp en açık kapıları birlikte kapatalım.